Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\W32Time] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop w32time
Патчит код
в динамической библиотеке NTDLL
- Процесс xcfr.exe, модуль ntdll.dll
- Процесс setup32699.com, модуль ntdll.dll
Перехватывает управление с помощью отладочных регистров
в динамической библиотеке
- Процесс xcfr.exe, модуль unknown
- Процесс setup32699.com, модуль unknown
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: 'OllYDbg'
Изменения в файловой системе
Создает следующие файлы
- conout$
- <Текущая директория>\setup32699.com
- C:\csb.ini
- nul
Удаляет файлы, которые сам же создал
- <Текущая директория>\setup32699.com
Сетевая активность
Подключается к
- 'localhost':49696
- 'ke##uth.win':443
- 'x1.#.lencr.org':80
- 'x2.#.lencr.org':80
- 'ye.#.lencr.org':80
- 'ye#.#.lencr.org':80
- 'localhost':49705
TCP
Запросы HTTP GET
- http://x2.#.lencr.org/
- http://ye.#.lencr.org/
- http://ye#.#.lencr.org/15.crl
Другие
- 'localhost':49696
- 'localhost':49697
- 'ke##uth.win':443
- 'localhost':49705
- 'localhost':49706
UDP
- DNS ASK 1.##.#ool.ntp.org
- DNS ASK 0.##.#ool.ntp.org
- DNS ASK 2.##.#ool.ntp.org
- DNS ASK ke##uth.win
- DNS ASK 3.##.#ool.ntp.org
- DNS ASK x1.#.lencr.org
- DNS ASK x2.#.lencr.org
- DNS ASK ye.#.lencr.org
- DNS ASK ye#.#.lencr.org
Другое
Создает и запускает на исполнение
- '<Текущая директория>\setup32699.com'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c del *.com /s /f /q >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c del %WINDIR%\Prefetch\* /s /f /q >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c del %TEMP%\* /s /f /q >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c del %appdata%\Microsoft\Windows\Recent\* /s /f /q >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c fsutil usn deletejournal /d C: >nul 2>&1
- '<SYSTEM32>\fsutil.exe' usn deletejournal /d C
- '<SYSTEM32>\cmd.exe' /c w32tm /query /peers >nul 2>&1
- '<SYSTEM32>\w32tm.exe' /query /peers
- '<SYSTEM32>\cmd.exe' /c sc config w32time start=auto >nul 2>&1
- '<SYSTEM32>\sc.exe' config w32time start=auto
- '<SYSTEM32>\cmd.exe' /c w32tm /config /syncfromflags:manual /manualpeerlist:"0.us.pool.ntp.org, 1.us.pool.ntp.org, 2.us.pool.ntp.org, 3.us.pool.ntp.org" >nul 2>&1
- '<SYSTEM32>\w32tm.exe' /config /syncfromflags:manual /manualpeerlist:"0.us.pool.ntp.org, 1.us.pool.ntp.org, 2.us.pool.ntp.org, 3.us.pool.ntp.org"
- '<SYSTEM32>\cmd.exe' /c w32tm /config /reliable:yes >nul 2>&1
- '<SYSTEM32>\w32tm.exe' /config /reliable:yes
- '<SYSTEM32>\cmd.exe' /c net stop w32time >nul 2>&1
- '<SYSTEM32>\net1.exe' stop w32time
- '<SYSTEM32>\cmd.exe' /c net start w32time >nul 2>&1
- '<SYSTEM32>\net.exe' start w32time
- '<SYSTEM32>\net1.exe' start w32time
- '<SYSTEM32>\cmd.exe' /c w32tm /resync /nowait >nul 2>&1
- '<SYSTEM32>\w32tm.exe' /resync /nowait
- '<SYSTEM32>\cmd.exe' /c certutil -hashfile "<Текущая директория>\setup32699.com" MD5 | find /i /v "md5" | find /i /v "certutil" (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -hashfile "<Текущая директория>\setup32699.com" MD5
- '<SYSTEM32>\find.exe' /i /v "md5"
- '<SYSTEM32>\find.exe' /i /v "certutil"
